Freitag, 16:40 Uhr. Ein Mitarbeiter aus dem Vertrieb schreibt in den Support-Chat: “Ich glaube, ich habe die Kundenliste an den falschen Verteiler geschickt.” Zwei Sätze, und plötzlich läuft eine Uhr, von der die meisten Verantwortlichen nur vage wissen, dass es sie gibt. 72 Stunden. Danach wird es teuer.
Das eigentliche Problem ist selten die Panne selbst. Es ist die Ungewissheit danach: Ab wann zählt die Frist überhaupt? Muss ich jede E-Mail an den falschen Empfänger melden? Und was passiert, wenn ich mich verrechne? Wer diese Fragen erst im Ernstfall googelt, hat schon verloren. Deshalb hier die Meldepflicht, so wie sie im Gesetz steht – ohne Panik, aber auch ohne Beschönigung.
Was überhaupt eine “Datenpanne” ist
Der Gesetzgeber nennt es nüchtern: “Verletzung des Schutzes personenbezogener Daten” (Art. 4 Nr. 12 DSGVO). Gemeint ist jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt.
Das ist weiter, als viele denken. Eine verlorene Backup-Festplatte gehört dazu. Ein Ransomware-Angriff, der Daten verschlüsselt. Ein falsch adressierter Serienbrief. Eine versehentlich offene Cloud-Freigabe. Sogar der klassische Fehlversand einer Excel-Tabelle mit Gehaltsdaten an das ganze Team.
Drei Kategorien lohnt es sich zu unterscheiden:
- Vertraulichkeitsverletzung – Unbefugte sehen Daten (Fehlversand, Hack).
- Integritätsverletzung – Daten werden unbefugt verändert.
- Verfügbarkeitsverletzung – Daten sind weg oder unzugänglich (gelöscht, verschlüsselt).
Ransomware ist übrigens meistens gleich zwei davon: Die Daten sind verschlüsselt (Verfügbarkeit) und wurden oft vorher abgezogen (Vertraulichkeit).
📷 BILD-PLATZHALTER: Infografik mit drei Symbolen für Vertraulichkeit, Integrität und Verfügbarkeit, jeweils mit einem typischen Praxisbeispiel darunter.
1. Der Startschuss: “bekannt geworden” – nicht “passiert”
Hier machen die meisten den ersten Denkfehler. Die 72 Stunden beginnen nicht in dem Moment, in dem die Panne technisch geschieht. Sie beginnen, wenn dem Verantwortlichen die Verletzung bekannt wird (Art. 33 Abs. 1 DSGVO).
“Bekannt geworden” bedeutet: Es besteht ein hinreichender Grad an Gewissheit, dass ein Sicherheitsvorfall vorliegt, der personenbezogene Daten betrifft. Ein vager Verdacht reicht noch nicht – aber sobald Sie nach einer kurzen Prüfung wissen, dass tatsächlich etwas passiert ist, läuft die Uhr.
Und diese Uhr kennt kein Wochenende. Die 72 Stunden sind Kalenderstunden, keine Arbeitsstunden. Wird der Vorfall Freitagabend um 17 Uhr bekannt, endet die Frist Montagabend um 17 Uhr – Feiertage und Betriebsurlaub inklusive. Wer meint, das Meldeformular in Ruhe am Montagmorgen ausfüllen zu können, hat dann bereits über 60 Stunden verbraucht.
Deshalb ist der wertvollste Vorbereitungsschritt, das Bekanntwerden intern sauber zu organisieren: Wer meldet einen Verdacht an wen? Wer entscheidet, ob es eine meldepflichtige Panne ist? Ohne diesen Prozess vergehen die kritischen ersten Stunden mit der Frage, wer eigentlich zuständig ist.
2. Melden Sie an die Aufsichtsbehörde – oder eben nicht
Die Meldung geht an die zuständige Datenschutz-Aufsichtsbehörde (in Deutschland die Landesbehörde am Sitz des Unternehmens). Aber: Nicht jede Panne muss gemeldet werden.
Art. 33 Abs. 1 DSGVO nennt eine Ausnahme: Eine Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Das klassische Beispiel: ein Laptop geht verloren, dessen Festplatte stark verschlüsselt ist und dessen Schlüssel sicher liegt. Die Daten sind zwar physisch weg, aber praktisch niemandem zugänglich.
Vorsicht ist trotzdem geboten. “Kein Risiko” ist eine hohe Hürde. Sobald Namen in Kombination mit weiteren Angaben betroffen sind – Adressen, Vertragsdaten, erst recht Gesundheits- oder Finanzdaten – kippt die Bewertung schnell in Richtung meldepflichtig. Im Zweifel gilt: dokumentieren und die Meldung eher machen als unterlassen.
3. Was in die Meldung gehört
Art. 33 Abs. 3 DSGVO gibt den Inhalt vor. Die Meldung muss mindestens enthalten:
- die Art der Verletzung – was ist passiert, welche Kategorien und ungefähre Zahl der betroffenen Personen, welche Kategorien und ungefähre Zahl der betroffenen Datensätze;
- den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle;
- die wahrscheinlichen Folgen der Verletzung;
- die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher negativer Folgen.
Der entscheidende Satz für die Praxis steht in Art. 33 Abs. 4: Wenn Sie nicht alle Informationen auf einmal haben, dürfen Sie die Angaben schrittweise nachreichen. Sie müssen also nicht 72 Stunden warten, bis die Forensik komplett abgeschlossen ist. Melden Sie fristgerecht mit dem, was Sie wissen, und ergänzen Sie später. Eine unvollständige, aber pünktliche Meldung ist besser als eine perfekte, aber verspätete.
Und wenn es doch länger dauert? Eine Meldung nach mehr als 72 Stunden ist nicht verboten – sie muss aber mit einer Begründung für die Verzögerung versehen sein (Art. 33 Abs. 1 Satz 2). Die Behörde erwartet dann eine plausible Erklärung, keine Ausrede.
📷 BILD-PLATZHALTER: Ausgefülltes Musterformular einer Aufsichtsbehörde zur Meldung einer Datenschutzverletzung, mit hervorgehobenen Pflichtfeldern nach Art. 33 Abs. 3.
4. Die zweite Frist, die niemand auf dem Schirm hat
Die 72-Stunden-Meldung geht an die Behörde. Es gibt aber noch eine zweite Pflicht, die sich an ganz andere Adressaten richtet: die Betroffenen selbst.
Art. 34 DSGVO verlangt, dass Sie die betroffenen Personen benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Hier gibt es keine starre 72-Stunden-Frist – das Gesetz sagt “unverzüglich” -, aber die Schwelle ist höher: nicht “ein Risiko”, sondern ein hohes Risiko.
Praktisch heißt das: Bei einer geleakten Passwortdatenbank oder offengelegten Gesundheitsdaten müssen Sie die Menschen aktiv informieren, damit sie sich schützen können – etwa Passwörter ändern oder Kontoauszüge prüfen. Von dieser Benachrichtigung dürfen Sie nur absehen, wenn Sie zum Beispiel wirksame Verschlüsselung eingesetzt haben oder nachträglich Maßnahmen ergriffen haben, die das hohe Risiko ausschließen.
5. Die stille Pflicht: dokumentieren, immer
Selbst wenn Sie zu dem Ergebnis kommen, dass eine Panne nicht meldepflichtig ist, sind Sie nicht fertig. Art. 33 Abs. 5 DSGVO verpflichtet Sie, jede Verletzung zu dokumentieren – Tatsachen, Auswirkungen und die ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde eine Überprüfung ermöglichen.
Das ist der Punkt, an dem viele Unternehmen im Ernstfall auflaufen. Denn eine ordentliche Meldung nach Art. 33 setzt voraus, dass Sie überhaupt wissen, welche personenbezogenen Daten Sie wo verarbeiten. Genau das steht ohnehin bereits im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Wer sein Verzeichnis aus echten Datenbeständen gepflegt hat, kann die Frage “Welche Kategorien betroffener Personen und welche Datensätze sind hier im Spiel?” in Minuten beantworten. Wer es als leere Word-Vorlage im Schrank liegen hat, sucht im Krisenfall stundenlang.
Genau an dieser Stelle setzt datamastr an: Die Plattform analysiert die tatsächlich vorhandenen Datenquellen, erkennt personenbezogene und besondere Kategorien (Art. 9 DSGVO) automatisch und leitet daraus ein belastbares Verarbeitungsverzeichnis ab. Nicht als Selbstzweck – sondern damit im Ernstfall die Frage nach dem Umfang einer Panne nicht mit Raten beantwortet werden muss.
Was passiert, wenn Sie die Frist reißen
Reden wir über Zahlen, denn darum geht es am Ende. Verstöße gegen die Meldepflichten aus Art. 33 und Art. 34 fallen unter Art. 83 Abs. 4 DSGVO: Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
Wichtig ist die Nuance dahinter. Die Behörden verhängen selten das Maximum für eine verspätete Meldung allein. Aber eine unterlassene oder zu späte Meldung wird gerne als erschwerender Umstand gewertet, wenn ohnehin schon ein Sicherheitsvorfall im Raum steht. Wer die Panne meldet und kooperiert, steht am Ende deutlich besser da als wer sie aussitzt und hofft, dass niemand es merkt.
Und noch etwas: Wenn Sie ein Auftragsverarbeiter sind, läuft für Sie eine eigene Regel. Art. 33 Abs. 2 DSGVO verpflichtet Sie, den Verantwortlichen unverzüglich zu informieren, sobald Ihnen eine Verletzung bekannt wird – ganz ohne eigenes 72-Stunden-Fenster. Der Verantwortliche braucht diese Information, weil bei ihm die Uhr tickt. Prüfen Sie deshalb Ihre Auftragsverarbeitungsverträge: Steht dort eine klare, kurze Meldekette?
📷 BILD-PLATZHALTER: Zeitstrahl mit den vier Stationen: Vorfall geschieht – Bekanntwerden – Meldung an Behörde binnen 72h – ggf. Benachrichtigung Betroffener, jeweils mit der passenden Rechtsgrundlage beschriftet.
Die drei Dinge, die vor der nächsten Panne stehen sollten
Eine Datenpanne ist keine Frage des ob, sondern des wann. Wer im Ernstfall bestehen will, braucht drei Dinge griffbereit: einen internen Meldeprozess, der das Bekanntwerden in Stunden statt Tagen an die richtige Stelle bringt; ein Verzeichnis, das den Umfang der betroffenen Daten sofort beantwortet; und die Bereitschaft, im Zweifel zu melden statt zu schweigen. Alles andere ist Improvisation unter Zeitdruck – und Zeit ist genau das, was Ihnen nach dem Bekanntwerden fehlt.
Sie wissen nicht, wie gut Ihr Unternehmen auf diesen Fall vorbereitet ist? Der kostenlose DSGVO-Schnellcheck von datamastr gibt Ihnen in 12 Fragen und rund 3 Minuten ein Sofort-Ergebnis – inklusive der Frage, ob Ihr Verarbeitungsverzeichnis im Krisenfall trägt: https://app.datamastr.com/dsgvo-check/